2026-10-16 12:53:27 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

Splunk爆出9.8分高危漏洞【PoC已公布】

原创

骨哥说事
骨哥说事

骨哥说事

2026年10月15日 10:22
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读


声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

防走失：https://gugesay.com/

CVE-2026-76268：通过Patroni API实现未授权远程代码执行

重大安全警报：Splunk已于2026年10月7日紧急修复了编号为CVE-2026-76268的严重安全漏洞。攻击者只需通过未经验证的网络连接访问搜索头集群成员上的Patroni REST API，便可直接执行任意操作系统命令。该漏洞CVSS 3.1评分高达9.8分(属于\"严重\"级别，由官方Splunk安全团队评估)。修复版本为Splunk Enterprise 10.2.7和10.4.3。目前，第三方漏洞研究人员已声称开发出概念验证代码(PoC)。不过，美国网络安全和基础设施安全局(CISA)暂时未将其列入已知被利用漏洞(KEV)目录。

漏洞PoC代码见文末链接

事态概述

Splunk官方于2026年10月7日发布了编号为SVD-2026-1001的安全公告，一次性修复了Splunk Enterprise平台中的多个安全缺陷。其中最严重的当属CVE-2026-76268，其安全等级被评定为\"严重\"级别。

该漏洞的根本问题在于Patroni REST API的身份验证机制缺失。Patroni是负责管理搜索头集群成员中PostgreSQL辅助进程(sidecar)的组件。令人震惊的是，这个API在关键配置操作上竟然完全不要求任何身份验证，这无异于为攻击者敞开了后门。

据官方披露，漏洞是由Splunk公司内部的安全研究员Gabriel Nitu发现的，系内部安全审计的成果。

影响范围详解

本次漏洞波及以下Splunk Enterprise版本：

10.2.0至10.2.6系列的全部版本
10.4.0至10.4.2系列的全部版本

值得注意的是，Splunk Enterprise 10.0.x和9.4.x这两个较早的版本线不受此漏洞影响。

安全公告明确提到，受攻击风险集中在搜索头集群成员。要利用此漏洞，攻击者需要首先获得对Patroni API的网络访问权限。令人担忧的是，官方并未公布具体有多少实际生产环境将此API暴露在网络上。因此，安全建议是：在确认安全状态前，将所有可被访问的集群成员都视为已暴露的攻击面。

已核实的技术细节

漏洞评分与特征：

Splunk官方评估的CVSS 3.1评分：9.8分(严重级别)
国家漏洞数据库(NVD)确认相同评分，弱点分类为CWE-306(关键功能缺少身份验证)
核心危害：未经身份验证的攻击者可以直接在宿主机上执行任意操作系统命令

官方修复方案：

彻底修复版本：Splunk Enterprise 10.2.7和10.4.3
临时缓解措施：如果您的部署环境中未使用Edge Processor、OpAmp或SPL2管道，可禁用PostgreSQL sidecar组件来规避风险。应用此措施后，请重启Splunk服务。

漏洞状态追踪：

该漏洞尚未被CISA列入\"已知被利用漏洞(KEV)\"目录
CISA通过安全漏洞分类(SSVC)系统向NVD报告的漏洞利用情况为\"未发现野外利用\"
漏洞扫描厂商Tenable已在其扫描器插件中更新该漏洞的检测方法，并标记为\"存在可用利用程序\"

第三方安全研究：

GitHub平台上用户名为\"murrez\"的账户已于2026年10月13日发布一个公开仓库，声称拥有该漏洞的完整概念验证代码(PoC)。该仓库不仅包含漏洞验证检测工具，甚至还有大规模自动化利用工具。需要特别强调的是：ThreatWire并未实际运行或审核这些代码，且该GitHub账户并非Splunk官方认可的漏洞发现者。